Privacy & Data Protection

GDPR, trasferimenti dati, procedimenti Garante

Cosa facciamo

Compliance GDPR e D.Lgs. 196/2003 (Codice privacy novellato): mappatura, registro dei trattamenti, informative, contratti DPA ex art. 28
Trasferimenti internazionali di dati personali (SCC 2021, BCR, valutazione TIA ex Schrems II, EU-US Data Privacy Framework)
Data breach notification al Garante e agli interessati (artt. 33-34 GDPR), gestione del momento di crisi
Valutazioni d'impatto sulla protezione dei dati (DPIA ex art. 35 GDPR), consultazione preventiva del Garante (art. 36)
Procedimenti istruttori e sanzionatori del Garante, opposizioni davanti al Tribunale e ricorsi al Garante
Intersezione GDPR / AI Act (Reg. UE 2024/1689): trattamento dati per training di modelli, profilazione, processi decisionali automatizzati
Privacy by design nei progetti fintech, biometrici, sanitari e nei sistemi di scoring

Pilastri di servizio

Compliance GDPR per imprese e gruppi

Mappatura completa dei trattamenti, redazione del Registro ex art. 30 GDPR, informative agli interessati ex artt. 13-14, gestione dei consensi specifici. Drafting di contratti tra titolare e responsabile ex art. 28 GDPR (DPA) e tra contitolari ex art. 26 GDPR. Procedure di esercizio dei diritti degli interessati (accesso, rettifica, cancellazione, portabilità, opposizione).

Trasferimenti internazionali

Valutazione del livello di adeguatezza del Paese terzo, applicazione delle Standard Contractual Clauses 2021/914, Binding Corporate Rules per gruppi multinazionali, codici di condotta. Transfer Impact Assessment ex Schrems II (C-311/18) e raccomandazioni EDPB 01/2020. Adesione al EU-US Data Privacy Framework e gestione del rischio post-Schrems.

Data breach

Gestione operativa del data breach: assessment dell'incidente, valutazione del rischio per i diritti degli interessati, notifica al Garante entro 72 ore ex art. 33 GDPR, comunicazione agli interessati ex art. 34. Coordinamento con team IT, forensic, comunicazione e legale per la gestione integrata del momento di crisi.

DPIA e consultazione preventiva

Valutazioni d'impatto sulla protezione dei dati per trattamenti ad alto rischio (sistemi biometrici, profilazione su larga scala, sistemi di scoring, video sorveglianza estesa). Consultazione preventiva del Garante ex art. 36 GDPR quando la DPIA segnala rischio residuo elevato. Drafting dei documenti DPIA conformi alle linee guida WP248.

Contenzioso privacy

Procedimenti istruttori del Garante per la Protezione dei Dati Personali, audizioni, memorie difensive. Opposizione ai provvedimenti del Garante davanti al Tribunale ordinario ex art. 152 D.Lgs. 196/2003 e ricorsi al Garante ex art. 77 GDPR. Class action e danno non patrimoniale da violazione privacy ex art. 82 GDPR.

Privacy nell'intelligenza artificiale

Intersezione GDPR / AI Act: liceità del trattamento per training di modelli di IA (basi giuridiche, anonimizzazione, dati sintetici), profilazione e processi decisionali automatizzati ex art. 22 GDPR, valutazioni d'impatto integrate FRIA (Fundamental Rights Impact Assessment ex art. 27 AI Act) + DPIA. Trasparenza degli output e gestione dei bias.

Privacy by design in settori verticali

Strutturazione di trattamenti privacy-compliant in progetti fintech (open banking, scoring creditizio alternativo, KYC digitale, biometrica e wallet crypto), sanitari (cartella clinica elettronica, telemedicina, ricerca clinica e biobanche), HR (sistemi di valutazione, controllo a distanza, ATS).